Превышен лимит активности” в 1С-Битрикс: защита от сканирования и вредоносных запросов через nginx

На сайте посетитель превысил установленный лимит активности.
Начиная с [дата] посетитель заблокирован на 600 сек.
Активность – 16 хитов за 10 сек. (лимит – 15)
Посетитель – 1974831
Сессия – 2032988
Поисковик – [0]
UserAgent –

Для добавления в стоп-лист воспользуйтесь нижеследующей ссылкой:
...

Почему это происходит

• /ee.php
• /edit.php
• /dropdown.php
• /doc.php
• /content.php
• /composer.php
• /classsmtps.php
• /adminer.php
• /as.php
• /alfanew.php

А также по вложенным путям:

• /assets/images/doc.php
• /about/function.php
• /admin/index.php
• /.well-known/index.php

Почему блокировка в самом Битрикс неэффективна

Как мы решили проблему

• Запрос даже не дойдёт до PHP и Битрикс, нагрузка на сайт меньше.
• Работает для всех сайтов на сервере сразу.
• Не зависит от IP-адреса злоумышленника.

Пример содержимого:

Блокировка вредоносных файлов на любой вложенности:

location ~* "(?x)
    (/|^) (autoload_classmap\.php
    | auth\.php
    | atomlib\.php
    | assets/images/doc\.php
    | asasx\.php
    | as\.php
    | alfa\.php
    | al\.php
    | akc\.php
    | adminfuns\.php
    | admin/index\.php
    | admin/function\.php
    | admin/admin\.php
    | admin\.php
    | about/function\.php
    | about/Geforce\.php
    | about\.php
    | 87\.php
    | 13k\.php
    | 12\.php
    | ee\.php
    | 10\.php
    | edit\.php
    | dropdown\.php
    | doc\.php
    | content\.php
    | composer\.php
    | classsmtps\.php
    | chosen\.php
    | blog\.php
    | ay\.php
    | av\.php
    | avaa\.php
    | adminer\.php
    | alfanew\.php
    )$" {
    deny all;
    return 403;
}

Блокировка целых разделов на сайте через NGINX

# Блокировка папок wp-includes, wp-content, wp-admin и assets на любой вложенности
location ~* "(?x)
    /(
        wp-includes
      | wp-content
      | wp-admin
      | assets
    )/" {
    deny all;
    return 403;
}

• location ~* — регистронезависимое регулярное выражение.
• (wp-includes|wp-content|wp-admin|assets) — список блокируемых папок.
• / в конце — гарантирует, что правило сработает именно на папку, а не на часть имени файла.
• deny all; return 403; — запрещает доступ и возвращает код ответа HTTP 403 (Forbidden).

Топ вредоносных запросов к сайту

Дополнительная защита: fail2ban

Плюсы fail2ban:

1. Автоматическая реакция на подозрительную активность.
2. Гибкие настройки фильтров.
3. Блокировка не только для веба, но и для SSH, FTP и других сервисов.

Использование Cloudflare

1. Защищать от DDoS-атак.
2. Ограничивать частоту запросов (Rate Limiting).
3. Автоматически блокировать подозрительных ботов.

Рекомендации по защите Bitrix-сайта

1. Настройте блокировку вредоносных файлов и путей через NGINX.
2. Используйте fail2ban для автоматической блокировки IP по логам.
3. Если возможно — подключите Cloudflare.
4. Регулярно обновляйте Bitrix и PHP.
5. Удаляйте неиспользуемые модули и скрипты.
6. Периодически проверяйте сайт на наличие вредоносного кода.

Итог